La Cour de justice de l’Union européenne a rendu un arrêt le 7 mars 2024 concernant le partage oral des données pénales. Dans cet arrêt, la Cour confirme que la communication orale de données à caractère personnel relève du champ d’application du Règlement général sur la protection des données (RGPD) dès lors que ces données sont inscrites dans un fichier ou destinées à l’être.
Contexte
Endemol Shine Finland (ci-après dénommée ‘Endemol’) est l’une des plus grandes maisons de production finlandaises et fait partie d’un groupe international. Dans le cadre de ses activités, Endemol a demandé à un tribunal finlandais de lui fournir oralement des informations concernant d’éventuelles affaires pénales en cours ou clôturées contre un individu qui participerait à une compétition. L’objectif était de vérifier les éventuels antécédents pénaux de celui-ci. Cette demande s’inscrivait dans le cadre de la loi finlandaise sur la publicité des procédures.
Le tribunal a refusé la demande car, selon lui, la communication orale de telles informations constituerait un traitement de données à caractère personnel. En vertu du RGPD, ces données à caractère personnel ne peuvent être traitées que sous le contrôle d’une autorité ou lorsque cela est prévu par une loi qui prévoit également des garanties appropriées.
Endemol a alors interjeté appel, car la communication orale ne constituerait pas, selon elle, un ‘traitement de données à caractère personnel’. La cour d’appel finlandaise a ensuite posé à la Cour de justice la question de savoir si une communication orale de données à caractère personnel relève également du champ d’application du RGPD.
Une communication orale est-elle un traitement ?
La Cour de justice précise d’abord que la notion de ‘traitement’ a une portée particulièrement large en application du RGPD. Cela ressort notamment du fait que la définition contient une énumération non exhaustive d’exemples de traitements possibles. Cette énumération comprend notamment ‘la communication par transmission, la diffusion ou toute autre forme de mise à disposition’ de données à caractère personnel. Aucune condition de forme n’est imposée. Par conséquent, la communication orale de données à caractère personnel est également un traitement de données à caractère personnel, tout comme la communication écrite ou numérique.
La communication orale relève-t-elle du champ d’application du RGPD ?
La communication orale de données à caractère personnel n’est cependant pas un traitement automatisé. Par conséquent, la communication doit ‘être contenue dans un fichier’ ou ‘être appelée à figurer dans un fichier’ pour relever du champ d’application du RGPD.
La Cour considère qu’il semblerait que les données demandées par Endemol sont inscrites dans un fichier tenu par le tribunal. Par conséquent, la communication orale de ces données relèverait également du champ d’application du RGPD. Le tribunal devrait alors effectivement disposer d’une base juridique pour pouvoir communiquer les données oralement à Endemol.
Admissibilité de la demande de présentation d’un extrait du casier judiciaire
L’arrêt précité pourrait également avoir des conséquences sur les situations où l’employeur demande oralement des données à caractère personnel à de (potentiels) travailleurs. Il arrive parfois que les employeurs doivent s’assurer du passé judiciaire d’un candidat sans que la loi ne le prévoie explicitement.
Cela a conduit à une solution pragmatique, proposée par la Commission de la vie privée, prédécesseur de l’Autorité de protection des données, dans un avis du 11 février 2002, sur base de laquelle l’employeur demande au candidat de montrer un extrait de son casier judiciaire lors de l’entretien d’embauche, sans prendre de notes à ce sujet. En principe, il n’est ici même pas question d’une communication orale.
L’arrêt précité de la Cour de justice semble à première vue ne pas avoir de conséquences sur la situation où un employeur demanderait au travailleur de présenter un extrait de son casier judiciaire ou de l’expliquer oralement, tant que les données ne sont traitées ultérieurement d’aucune manière dans un fichier.
Les conditions de la CCT n°38 concernant le recrutement et la sélection doivent bien sûr toujours être respectées, et donc l’employeur ne peut, en principe, pas demander d’informations qui ne sont pas pertinentes pour l’exercice de la fonction.
Attention accrue pour la communication orale des données à caractère personnel
La demande d’un extrait du casier judiciaire n’est pas une mince affaire en pratique. Il est donc recommandé de suivre un processus clair pour cela. L’arrêt précité indique qu’une attention accrue est nécessaire lors de la communication orale des données à caractère personnel. Ceci est d’ailleurs pertinent non seulement pour les données pénales, mais également pour toutes autres données personnelles.
De plus, il est également conseillé d’informer les travailleurs du fait qu’ils ne peuvent pas simplement divulguer des données à caractère personnel oralement.